提取序号找缺口
提取序号找缺口
tcpdump -nn -i eth0 -s 96 -w /tmp/seq.pcap 'host 10.0.0.5 and tcp port 443'
# 提取方向、序号、长度：
tshark -r /tmp/seq.pcap -T fields -e frame.number -e ip.src -e tcp.seq -e tcp.len | head -40
# 只看某一方向的连续数据帧：
tshark -r /tmp/seq.pcap -Y 'ip.src == 10.0.0.5 && tcp.len > 0' -T fields -e frame.number -e tcp.seq -e tcp.len | sort -k2 -n | head| 原理 | 同一方向数据帧的 seq 应连续递增（next_seq = seq + len） |
|---|---|
| 缺口 | 下一条 seq > 上一条 seq+len 即为空洞，中间那段没到 |
| 配合 | 接收端看到的缺口 + 发送端无缺口 = 丢在路径中 |
有重传的情况下缺口会被补上：找的是『首次出现缺口的位置』，把首批出现空洞的帧号与两端抓包时间对齐，就能定位到具体段。